Ограниченные попытки входа в систему

Question

Я создаю систему входа в систему и хочу заблокировать человека, пытающегося войти в систему на несколько минут, когда указаны неправильные имя пользователя и пароль, так что скажем 4 раза.

Я знаю, как заблокировать его по IP, но это создаст блок, например. вся школа, если я там. Теперь я мог бы использовать имя пользователя, которое человек вводит для блокировки доступа, но это оставляет возможность того, что введенное имя пользователя не существует в базе данных.

Мой вопрос: Как создать этот блок для кого-то, кто вводит имя пользователя, которого не существует. И какие таблицы баз данных мне нужны для этого.

Также я искал возможность использовать сеанс и файлы cookie для него, но это оставляет проблему безопасности программного обеспечения, которое люди могут создавать, чтобы удалить сеансы и файлы cookie.

Так что если кто-нибудь может мне помочь, я был бы признателен.

Answer 1

Я считаю, что вы пытаетесь убежать от нападений грубой силы, а не несчастного мужа, который забыл свое имя пользователя.

Реализовать сложный механизм CAPTCHA, чтобы вы могли предотвратить большинство автоматических атак. Одновременно учитывайте количество попыток с определенного IP-адреса и интервал между этими последовательными попытками. Если какая-либо атака удастся решить вашу CAPTCHA, вы можете обнаружить аномальную активность за пару минут и заблокировать доступ ко всему IP-адресу. Это может привести к тому, что вся организация будет отключена в течение некоторого времени, но по крайней мере вы можете помочь им избежать перебоев из-за серьезной атаки.

Сессии и файлы cookie не помогут, потому что большинство систем грубой силы очищают и генерируют новый файл cookie для каждого запроса.